رسالة من BlockBeats، في 22 أكتوبر، أصدرت عدة مشاريع برمجيات أساسية للإنترنت تحديثات أمنية متتالية خلال يوم واحد، تشمل تنفيذ رمote للرمز، وتجاوز التحقق من شهادة TLS، ومخاطر ثقة الشهادة. ومن بينها:
إصلاح PHP لثغرتين أمنيتين خطيرتين CVE-2026-109618 و CVE-2026-109619، اللتين يمكن أن تؤديا إلى تنفيذ رموز عن بُعد دون مصادقة، وتؤثران على بيئات PHP التي تعالج طلبات الويب. الإصدارات المصححة تشمل 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35.
أعلنت Node.js عن عشرة ثغرات، منها أربع خطيرة، تشمل تنفيذ رمotes عن بُعد نتيجة كتابة خارج الحدود في مُفكّك Brotli، وقص أسماء DNS، وثغرتان تتعلقان بتجاوز التحقق من اسم المضيف في شهادات TLS. الإصدارات المصححة هي 26.12.1 و24.22.1 و22.23.4.
بالإضافة إلى ذلك، يحمل خطر Go المرتبط بـ crypto/x509 رقم CVE-2026-111943، وصنّفته Red Hat كـ «مهم»، بدرجة CVSS 3.1 قدرها 6.8. يمكن للمهاجمين، في ظل ظروف معينة مثل الموقع الشبكي المناسب والشهادات ذات الصلة، انتحال هوية خوادم قانونية لاعتراض أو تعديل الاتصالات. تم إضافة Go 1.26.10 و 1.27.3 إلى قائمة الحظر لمنع الثقة في الشهادات الوسيطة المخترقة ذات الصلة.